KI-Müll überflutet Open Source – und warum das Ihre Website betrifft
Mir ist in den letzten Monaten eine Entwicklung aufgefallen, über die außerhalb von Entwicklerkreisen kaum jemand spricht – und die trotzdem ziemlich direkt auf ganz normale Firmenwebsites durchschlägt: Freiwillige, die kostenlose Software pflegen, werden gerade von KI-generiertem Unsinn zugeschüttet.
Worum geht es überhaupt?
Fast jede Website, jeder Onlineshop und jedes Warenwirtschaftssystem besteht zu großen Teilen aus sogenannter Open-Source-Software – frei verfügbarem Programmcode, den Menschen weltweit gemeinsam pflegen. WordPress gehört dazu, unzählige Plugins, Verschlüsselungsbibliotheken, Datenbanken.
Damit solche Software sicher bleibt, gibt es bei vielen Projekten „Bug-Bounty-Programme“: Wer eine Sicherheitslücke findet und meldet, bekommt eine Prämie. Ein System, das jahrelang gut funktioniert hat – es lohnte sich, ordentlich zu suchen.
Was hat die KI kaputt gemacht?
Seit Sprach-KI beim Formulieren hilft, lässt sich ein technisch klingender Fehlerbericht in zwei Minuten erzeugen. Er sieht professionell aus, hat Codebeispiele, klingt plausibel – und ist frei erfunden. In der Szene heißt das inzwischen schlicht „AI Slop“, KI-Schlamm.
Für die Maintainer bedeutet jede dieser Meldungen echte Arbeit: Man muss sie lesen, nachvollziehen, prüfen, widerlegen. Beim Projekt curl – dessen Technik in praktisch jedem Smartphone, Auto und Server steckt – fiel die Quote brauchbarer Meldungen von etwa einer aus sechs auf eine aus zwanzig bis dreißig. Hauptentwickler Daniel Stenberg hat das Prämienprogramm Ende Januar 2026 beendet, mit der Begründung, so den Anreiz für den Müll zu entfernen.
Er ist nicht allein. GitHub hat sein Programm zum 27. Juli 2026 zweigeteilt: ein öffentliches mit niedrigeren Prämien und ein höher dotiertes nur auf Einladung. Apple hat die Teilnahmeregeln verschärft und sperrt Einreicher, die wiederholt Unsinn schicken. Nextcloud hat die Geldprämien ganz gestrichen.
Was wir bei Media Nord davon halten
Ehrlich gesagt finde ich das eines der unangenehmsten Nebenprodukte des KI-Booms – gerade weil es so unspektakulär daherkommt. Hier wird kein Rechenzentrum gehackt. Hier wird die Geduld von Leuten aufgebraucht, die diese Arbeit ohnehin größtenteils unbezahlt machen: Rund 60 Prozent der Maintainer arbeiten ehrenamtlich, 44 Prozent nennen Überlastung als Grund, warum sie aufhören.
Das ist die eigentliche Gefahr. Nicht die einzelne erfundene Meldung, sondern dass irgendwann der Mensch nicht mehr hinschaut, der die echte Lücke gefunden hätte. Und die Ironie ist bitter: Dieselbe Technik, die eine KI zum Aufspüren echter Schwachstellen befähigt, verstopft gerade den Kanal, über den Menschen ihre Funde melden.
Was wir davon halten: Wer Open Source nutzt – und das tun Sie, ob Sie es wissen oder nicht –, sollte aufhören, sie als kostenlose Selbstverständlichkeit zu behandeln. Für Betriebe ist das aber vor allem eine praktische Frage.
Was heißt das für Ihre Website?
Die Reaktionszeiten könnten länger werden
Wenn Sicherheitsteams im Müll versinken, dauert es im Zweifel länger, bis eine echte Lücke bestätigt und geschlossen wird. Das Zeitfenster, in dem ein Angriff möglich ist, wächst.
Updates sind wichtiger, nicht unwichtiger
Sobald ein Update da ist, gehört es zeitnah eingespielt. Bei den Angriffen, die wir in der Praxis sehen, geht es fast nie um brandneue Schwachstellen, sondern um solche, für die seit Monaten eine Lösung bereitliegt.
Weniger ist sicherer
Jedes Plugin, das Sie nicht wirklich brauchen, ist eine zusätzliche Tür. Unser Tipp aus der Praxis: einmal im Jahr durchgehen und alles rauswerfen, was seit über einem Jahr kein Update bekommen hat oder ohnehin nicht genutzt wird. Das ist die wirksamste halbe Stunde IT-Sicherheit, die es für kleines Geld gibt.
Wer nutzt, darf auch etwas zurückgeben
Wenn Ihr Geschäft auf einem Open-Source-Projekt läuft, ist eine kleine regelmäßige Spende an das Projekt kein Almosen, sondern Instandhaltung Ihrer eigenen Infrastruktur.
Häufige Fragen
Ist Open Source dadurch jetzt unsicherer als kommerzielle Software?
Nein. Der große Vorteil bleibt, dass viele Augen auf den Code schauen. Belastet ist im Moment der Meldeweg, nicht die Qualität der Software selbst.
Merken wir als kleiner Betrieb überhaupt etwas davon?
Direkt nicht. Indirekt schon – über die Frage, wie schnell Sicherheitsupdates für Ihr CMS und Ihre Plugins erscheinen.
Wie oft sollten wir Updates einspielen?
Sicherheitsupdates so schnell wie möglich, alles andere in einem festen Monatsrhythmus mit vorherigem Backup. Wer das nicht selbst machen will, gibt es in Wartung – das ist genau der Fall, in dem sich ein Vertrag rechnet.
Wir behalten die Entwicklung im Auge und melden uns, wenn sich an den Sicherheitsprozessen der großen Projekte etwas Grundsätzliches ändert.
Quellen
- https://www.theregister.com/security/2026/01/21/curl_shutters_bug_bounty_program/
- https://www.bleepingcomputer.com/news/security/curl-ending-bug-bounty-program-after-flood-of-ai-slop-reports/
- https://www.itpro.com/software/open-source/curl-open-source-bug-bounty-program-scrapped
- https://www.techradar.com/pro/security/github-restructures-bug-bounty-program-following-flood-of-ai-generated-reports
- https://t3n.de/news/github-bug-bounty-programm-gegen-ki-1754392/
- https://www.security-insider.de/ende-bug-bounty-programm-curl-ki-falschmeldungen-a-7918a628a41352e4cc170987f1788dee/
Hinweis zur Transparenz: Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung redaktionell geprüft. Inhalte können Fehler enthalten — für wichtige Entscheidungen bitte die verlinkten Originalquellen heranziehen.
